2006年5月24日にZIPアーカイブが添付されたドイツ語メッセージの疑わしい多くのレポートを受取りました。添付ファイルは、HaxSpyトロイの木馬をスパイする新しい亜種のトロイの木馬ドロッパーを含みました。
詳細情報
トロイの木馬は下記のようなメッセージを拡散しました。
件名
Betrag uberwiesen
本文
Hallo, wie gestern abgesprochen habe ich den Betrag 1967, 83 auf dein Konto uberwiesen.
Ich denke, das Geld muss schon ubermorgen bei Dir sein. Im Anhang habe ich den gescannten
Nachweis angeheftet. Ich hoffe, das alle Daten korrekt sind.
Bitte gebe mir kurz Bescheid. Lieber Grus
添付
hc.zip
ZIPアーカイブは、実行可能なhc.exeという名前のファイルを含みます。このファイルは、2つのHaxSpyトロイの木馬コンポーネントのドロッパーです。
トロイの木馬ファイルが実行された後、Windowsシステムフォルダに2つのファイルを落します。
nkgfs.sys
nkunpack.dll
SYSファイルは、トロイの木馬ファイルとスパイを行うメインのコンポーネントDLLを隠すRootkitドライバーです。それは、システムコンポーネント（レジストリにWinlogon\Notifyとして登録）として登録され、有効化され、下記の情報を収集し、ハッカーに送り返します。
Inetcomm server passwords
POP and IMAP server names, logins and passwords
The Bat passwords
Internet Explorer Protected Storage passwords
トロイの木馬はWindowsの下記の設定を変更し、下記のWEBサイトにアクセスすることをブロックします。
avp.ch
customer.symantec.com
dispatch.mcafee.com
download.mcafee.com
downloads1.kaspersky-labs.com
downloads1.kaspersky-labs.com
downloads1.kaspersky-labs.com
downloads2.kaspersky-labs.com
avp.com
avp.ru
awaps.net
downloads3.kaspersky-labs.com
downloads4.kaspersky-labs.com
updates1.kaspersky-labs.com
updates1.kaspersky-labs.com
updates2.kaspersky-labs.com
updates3.kaspersky-labs.com
d-ru-2f.kaspersky-labs.com
updates3.kaspersky-labs.com
updates4.kaspersky-labs.com
updates5.kaspersky-labs.com
downloads-us1.kaspersky-labs.com
downloads-us2.kaspersky-labs.com
downloads-us3.kaspersky-labs.com
engine.awaps.net
f-secure.com
ftp.avp.ch
ftp.downloads2.kaspersky-labs.com
ftp.f-secure.com
ftp.kasperskylab.ru
ftp.kaspersky.ru
d-ru-1f.kaspersky-labs.com
d-eu-1f.kaspersky-labs.com
rads.mcafee.com
d-eu-2f.kaspersky-labs.com
d-us-1f.kaspersky-labs.com
ftp.sophos.com
ids.kaspersky-labs.com
kaspersky.com
kaspersky-labs.com
liveupdate.symantec.com
liveupdate.symantec.com
liveupdate.symantec.com
liveupdate.symantecliveupdate.com
liveupdate.symantecliveupdate.com
mast.mcafee.com
mcafee.com
my-etrust.com
networkassociates.com
phx.corporate-ir.net
securityresponse.symantec.com
service1.symantec.com
sophos.com
spd.atdmt.com
symantec.com
trendmicro.com
update.symantec.com
updates.symantec.com
us.mcafee.com
virustotal.com
検知
HDE Anti-Virusは、このマルウェアを下記のバージョン以降で検知いたします。
[FSAV_Database_Version]
Version = 2006-05-24_04.
Write-up：Alexey Podrezov, May 24, 2006
Technical Details：Alexey Podrezov, May 24, 2006
|